Sichere Softwareentwicklung
Die Lehren aus dem Sunburst-Angriff
Der Sunburst-Cyberangriff auf Solarwinds im Dezember 2020 war ein Weckruf für die Softwarebranche und Zeichen einer neue Realität: Die Angriffsmethoden der Hacker sind viel komplexer und erfolgreicher geworden. Sie bedrohen die Lieferketten und die Infrastruktur, auf die alle angewiesen sind.
Immer mehr Unternehmen erkennen, wie wichtig es ist, IT-Sicherheit als Geschäftsprozess zu verstehen, und alle Systeme kontinuierlich zu überwachen und zu optimieren. Denn die Angriffsmethoden der Hacker sind um ein Vielfaches komplexer und meist erfolgreicher geworden. Sie bedrohen die Lieferketten und die Infrastruktur, auf die wir alle angewiesen sind.
Der Sunburst-Cyberangriff auf Solarwinds im Dezember 2020 war ein Weckruf für die Softwarebranche und zeigte eine besorgniserregende neue Realität. Für den Angriff war eine unbefugte Änderung der Build-Lieferkette und das Einfügen von Schadcode in die Build-Umgebung erforderlich. Die Angreifer waren in der Lage, in die Umgebung einzudringen, den Erstellungsprozess der Software zu überwachen und dann bösartigen Code in die Orion-Platform einzufügen, unmittelbar bevor die Software bei den Kunden bereitgestellt wurde. Dieser bösartige Code bot eine Hintertür in die Kundennetzwerke, wenn er von den Angreifern aktiviert wurde. Nachdem die Hintertür in einem Kundennetzwerk aktiviert wurde, musste der Angreifer immer noch alle zusätzlichen Firewalls oder Bedrohungsschutzsoftware in dieser Umgebung umgehen. Zum Zeitpunkt des Angriffs war der verwendete Softwareentwicklungsprozess in der gesamten Softwarebranche üblich. Im Verlauf der Untersuchungen stellte sich allerdings heraus, dass diese Standardkonzepte überholt sind. Vormals als Branchenstandard geltenden Entwicklungsverfahren werden der heutigen Bedrohungslandschaft also nicht mehr gerecht.
Secure-by-Design-Initiative bündelt die wichtigsten Erkenntnisse
Diese Erkenntnis hat Solarwinds zum Anlass genommen, seine Sicherheitspraktiken zu überdenken. Im Rahmen der Secure-by-Design-Initiative wurden alle wesentlichen Erkenntnisse aus dem Angriff gebündelt, um insbesondere die eigene Software-Entwicklungsumgebung zu stärken. Dieses transformative Vorhaben erforderte einen Fokus auf sicherheitsbezogene Programme, Richtlinien, Teams und Kulturen in diesen drei Hauptbereichen:
- zusätzliche Sicherung Infrastruktur vor Ort und in der Cloud
- Verbesserung der Produktentwicklungsumgebung
- Sicherheit und Integrität der Produkte gewährleisten
Um einen höheren Schutz der internen Umgebung zu erreichen, war der Einsatz zusätzlicher Software zur Bedrohungserkennung und Suche auf allen Netzwerkendpunkten unerlässlich. Wobei das Hauptaugenmerk auf der Entwicklungsumgebungen lag. Ferner war das Zurücksetzen der Anmeldeinformationen für alle Benutzer in den Unternehmens- und Produktentwicklungsdomänen notwendig, einschließlich der Anmeldeinformationen für alle privilegierten Konten und alle Konten, die für den Aufbau der Orion-Plattform und zugehöriger Produkte verwendet werden. Zudem wurden alle Remote- und Cloud-Zugangswegen für den Zugriff auf das Netzwerk und Anwendungen durch eine verpflichtende Multi-Faktor-Authentifizierung (MFA) konsolidiert.
Anforderungen an neue Software-Build-Systeme
Durch die Verbesserung der Entwicklungsumgebung erschweren verbesserte Endpunkt-Erkennung, rollenbasierte Zugriffskontrollen und anderer Elemente es den Angreifern, in die Systeme einzudringen. Von besonderer Bedeutung ist aber die Verbesserung der Build-Prozesse und -Methoden selbst. Dabei werden die Software-Builds in zwei separaten Umgebungen durchgeführt, mit unterschiedlichen Build-Systemen und individuellen Benutzeranmeldedaten. Man spricht hier von komplett unabhängigen Build-Pipelines. In einer dritten Umgebung wird die Integrität der Builds untersucht, um Code-Änderungen und etwaige Schwachstellen zu erkennen und zu beheben. Dadurch verändert sich die Angriffsfläche, da ein potentieller Angreifer Zugriff auf alle Pipelines gleichzeitig haben müsste.
Bei der Konzeption, Erstellung und Dokumentation dieses Build-Systems der nächsten Generation haben Cyber-Security-Experten, Vordenker im Bereich Open-Source, Techniker und Entwickler zusammengearbeitet. Dabei verfolgten alle das Ziel, einen neuen Standard in der sicheren Softwareentwicklung zu schaffen und innerhalb der Software-Community zu teilen.
- Die Lehren aus dem Sunburst-Angriff
- Kriterien des neuen Build-Systems
Das könnte Sie auch interessieren
Supply-Chain-Angriff
Solarwinds war nur das Einfallstor – das Ziel…
Lars, but not Least
"Solarwinds 123": Der Praktikant war's
Nach Solarwinds/Sunburst
Lieferketten-Risiken im Kontext betrachten
Gruppe operiert aus China
Microsoft entdeckt Zero-Day-Exploit auf…
Cloud-Threat-Report
Angriffe auf Softwarelieferketten verschärfen…
